ما الذي يحدث لبياناتك

إلى أين تذهب بياناتك

خمس مراحل بين ميكروفونك والإجابة. افتح أيّاً منها لترى ما الذي تحمله.

1. 01 جهازك

   تحمل: الميكروفون وصوت النظام، ولقطات الشاشة التي تلتقطها، والملفات التي ترفعها.

   لماذا: الالتقاط لا يحدث إلا حيث تحدث المكالمة. اللوحة مستثناة من تسجيل الشاشة فلا تظهر عند مشاركتها، ورموز الوصول تقيم في خزنة أسرار نظام التشغيل نفسه — Keychain على macOS وDPAPI على ويندوز — لا في ملف مقروء.

2. 02 الاتصال

   تحمل: كل ما يمرّ بين عميلك وبين Whisperer.

   لماذا: HTTPS بـ TLS 1.2 أو أحدث. رمز الجلسة يسافر في ترويسة Authorization لا في العنوان، فلا ينتهي في سجلات الخادم ولا الوسيط. وتُرسل الحافة HSTS، ومنع تخمين النوع، ومنع التضمين في إطار، وسياسة مُحيل صارمة.

3. 03 واجهة Whisperer البرمجية

   تحمل: الطلبات، بعد المصادقة وتحديد الوتيرة والتحقّق من الملكية.

   لماذا: التخويل يرفض افتراضياً: إن لم يُؤكَّد حقٌّ، يُرفض الطلب بدل تمريره احتياطاً. وحدود الوتيرة تُحسب لكل رمز لا لكل عنوان، فلا يتقاسم من يقفون خلف وصلة واحدة الحصّة نفسها.

4. 04 التخزين

   تحمل: الاجتماعات والتفريغات والملاحظات والمهام والتقويم في قاعدة بيانات مُدارة؛ الملفات والتسجيلات في تخزين كائنات؛ الحالة قصيرة العمر في ذاكرة مؤقتة مُدارة؛ متجهات البحث في قاعدة متجهات.

   لماذا: يصل التطبيق إلى قاعدة البيانات بتحقّق كامل من الشهادة مقابل جذر مثبّت: الطرف المُستبدَل يفشل بدل أن يتصل. وتُخزَّن البيانات على خوادم في روسيا و/أو الاتحاد الأوروبي، كما تنصّ سياسة الخصوصية.

5. 05 مزوّدو الذكاء الاصطناعي والخدمات المربوطة

   تحمل: للميزة التي تحتاج نموذجاً — إجابة أو تفريغاً أو ترجمة أو تمثيلاً متجهياً — المحتوى الذي تشتغل عليه تلك الميزة. وللخدمة التي ربطتها بنفسك، البيانات التي يغطّيها ذلك التكامل.

   لماذا: ليست لدينا نماذج كلام ولغة خاصة بنا. هنا تغادر البيانات بنيتنا التحتية، ولذلك يُصرَّح بهذا الحدّ بدل تركه مفهوماً ضمناً. والجدول أدناه يسرد الجميع ويحيل إلى شروط كل منهم.

• يبقى على جهازك أو داخل Whisperer
• في الطريق بينهما
• يغادر إلى طرف ثالث

التشفير

أثناء النقل. الاتصالات بين العملاء والواجهة البرمجية والبنية التحتية تجري عبر HTTPS بـ TLS 1.2 أو أحدث؛ وحافة الإنتاج تتفاوض اليوم على TLS 1.3. وتُرسل سياسة النقل الصارم بمدة سنة، فالمتصفّح الذي زار الموقع مرة لا يعود إلى HTTP المكشوف.

أثناء التخزين. قاعدة البيانات وتخزين الكائنات والذاكرة المؤقتة خدمات مُدارة، والتشفير عند التخزين توفّره تلك المنصّات لا نحن. ولن نسمّي خوارزمية لتخزين لا نديره: سيكون ذلك تخميناً في ثوب ضمان.

الأسرار. بيانات اعتماد الخدمات التي تربطها — رموز التجديد، ومفاتيح التكامل، ورموز أدواتك أنت — تُشفَّر قبل كتابتها في قاعدة البيانات، بحلقة مفاتيح تتيح تدوير المفتاح دون توقّف ودون إعادة تشفير كل شيء دفعة واحدة. والمفتاح الغائب أو التالف يؤدي إلى الرفض: لا يُكتب شيء بدل أن يُكتب مكشوفاً.

أمان الحساب

كلمات المرور. تُحفظ بصمات bcrypt باثنتي عشرة جولة، ولا تُحفظ نصاً مكشوفاً أبداً. ويتطلّب التسجيل تأكيد البريد برمز من ستة أرقام قصير الأجل، وكلٌّ من الدخول والتسجيل خلف فحص ضد الروبوتات.

الجلسات. رمز الوصول صالح 30 دقيقة. ورمز التجديد يعيش 7 أيام في ملف تعريف لا تقرأه JavaScript، محصور بمسار المصادقة ومحميّ من الاستخدام عبر المواقع برمز مقترن. وتغيير كلمة المرور أو الخروج من كل الأجهزة يرفع عدّاد إصدار يُبطل كل رمز صدر قبله.

سطح المكتب والعملاء الخارجيون. ربط عميل سطح المكتب يتم برمز لمرة واحدة، فلا تدخل كلمة المرور إلى التطبيق أبداً. وعملاء الذكاء الاصطناعي الخارجيون يصادقون بـ OAuth 2.1 مع PKCE إلزامي؛ ولا وجود للمنح الضمني ولا لمنح كلمة المرور. وتُحفظ تلك الرموز بصمات وتُقارن بزمن ثابت، ولا يُقبل رمز التجديد إلا عند نقطة الرموز، ولا يحلّ أبداً محلّ رمز وصول.

مساحتك لك

كل اجتماع وتفريغ وملاحظة وملف ومهمة وحدث تقويم وذكرى يعود إلى الحساب الذي أنشأه. والحصر بالمالك يجري في طبقة البيانات، فالطلب الذي يسمّي معرّف غيرك يُرفض — والضمانة لا تتوقّف على تذكّر نقطة نهاية أن تتحقّق.

ما يمسك هذا ليس عُرفاً بل اختباران معماريان. أحدهما يسقط إن كان مسار مُصدَّر في الواجهة البرمجية غير مصادَق وغير مُدرَج في القائمة العامة الصريحة؛ والآخر يسقط إن بقيت في تلك القائمة مسارات لم تعد موجودة. والمشاركة تتم لكل عنصر على حدة وبقرارك: افتراضياً لا يرى أحد شيئاً.

الاجتماعات والتسجيلات ولقطات الشاشة

أثناء المكالمة. يُبثّ الميكروفون وصوت النظام للتعرّف بينما يجري الحديث. واللوحة غير مرئية عند مشاركة الشاشة — لكن صوت الطرف الآخر المسموع يظلّ يُتعرَّف عليه، وهو ما يُستحسن تذكّره في مكالمة جماعية.

بعد المكالمة. يبقى التفريغ والملاحظات والمهام وخريطة القرارات في مساحتك، تحرّرها وتصدّرها وتحذفها. والتسجيل الذي يجري في غرفة فيديو Whisperer يُكتب في تخزين الكائنات ويعود اجتماعاً مع تفريغه. ولقطات الشاشة التي تلتقطها تُرفَق بالجلسة وتذهب إلى نموذج رؤية حين تسأل عمّا يظهر على الشاشة.

الجلسات بلا سجل. يمكن تشغيل الجلسة في وضع لا يُكتب فيه التفريغ ولا الإجابات في قاعدة البيانات إطلاقاً، وتُمحى البيانات المرتبطة عند انتهائها. وتُحسب الدقائق كالمعتاد: توفّر تخزيناً لا وقتاً. فعّله مسبقاً — ألّا تسجّل أسهل من أن تمحو لاحقاً.

الملفات والمعرفة

تُفهرَس المستندات التي ترفعها لتستند إليها الإجابات. والاسترجاع محصور بالمالك: البحث الذي يجمّع سياق سؤالك لا ينظر إلا في متجهات حسابك، فلا يمكن لمستند في مساحة أن يطفو في إجابة مساحة أخرى.

حذف مستند يزيله من فهرس البحث كما من التخزين، فيكفّ عن الظهور في السياق المسترجَع بدل أن يبقى فيه دون أن يُرى. وللملف الواحد حدّ أعلى، وإن لم يُضبط تخزين الكائنات يصبح القسم غير متاح بدل أن يعمل نصف عمل.

الذاكرة والسياق الشخصي

يحتفظ Leo بنوعين من السياق: ملفّ تعريف تكتبه أنت، ووقائع ثابتة يدوّنها من عملك حتى لا يُشرح المتكرّر مرتين. وكلاهما في حسابك، وكلاهما ظاهر في قسم Leo، وكلاهما يُحرَّر أو يُحذف هناك. ولا يُحفَظ شيء لا تستطيع رؤيته.

السياق الذي تقدّمه يصل إلى النموذج بوصفه مادة مرجعية، ولا يستطيع تجاوز تعليمات النظام. لكنه يصير جزءاً من الموجّه — فلا تضع كلمات مرور ولا رموزاً في ملفّك ولا ملاحظاتك ولا قاعدة معرفتك.

المعالجة بالذكاء الاصطناعي

لا يدرّب Whisperer ولا يشغّل نماذج كلام ولغة خاصة به. والميزة التي تحتاج نموذجاً — إجابة في وسط المكالمة، أو تفريغاً، أو ترجمة، أو خلاصة، أو تمثيلاً متجهياً للبحث — ترسل المحتوى الذي تشتغل عليه إلى مزوّد خارجي وتستعمل ما يعود.

ما يُرسَل يتوقّف على الميزة. الإجابة تحمل التفريغ الجاري، والأجزاء المسترجَعة من قاعدة معرفتك لذلك السؤال بعينه، وسياق ملفّك. والتفريغ يحمل صوتاً. أما الميزة التي لا تستعملها فلا يخرج منها شيء إطلاقاً.

كيف يتعامل كل مزوّد مع ما يتلقّاه تحكمه شروطه هو وسياسة خصوصيته، والروابط أعلاه. لا نعيد صياغة تلك السياسات هنا، ولا نَعِد نيابةً عن مزوّد بأن محتواك لن يُستخدَم للتدريب أبداً: ذلك التزامه هو، لا التزامنا. وأيّ نموذج يتولّى أيّ دور إعدادٌ في حسابك، فترى وتغيّر إلى أين تذهب طلباتك.

الخدمات المربوطة وMCP

ربط خدمة — تقويم أو تطبيق ملاحظات أو نظام علاقات عملاء أو متتبّع مهام — يمنح Whisperer وصولاً إلى ما تتيحه تلك الخدمة، ضمن الأذونات التي توافق عليها في شاشة موافقتها هي. ويمكنك فكّ الربط من حسابك متى شئت، وسحب الإذن من جهة المزوّد أيضاً.

MCP يعمل في الاتجاهين. يوفّر Whisperer خادم MCP لتقرأ أدوات الذكاء الاصطناعي الخارجية بياناتك، وعميل MCP ليستعمل Leo الأدوات التي تربطها. ولا يرى العميل الخارجي اجتماعاً إلا إن وسمتَه بالمشارَك؛ أما الأرشيف ككل فلا يُرى أبداً، والجلسات بلا سجل مستثناة دون استثناء. والوصول الذي منحته لـ Whisperer إلى خدماتك الأخرى لا يُمرَّر أبداً عبر خادم MCP.

الإجراءات التي لا تُستردّ. تتطلّب تأكيداً بشرياً مع معاينة مبنيّة على الخادم لما سيتأثّر بالضبط، وهي غير متاحة للعملاء الخارجيين إطلاقاً. والأدوات التي تقبل بيانات اعتماد لا تُعرَض للخارج أبداً: سيكون ذلك قناةً لدسّ سرّ في تكامل شخص آخر. وخادم MCP الذي تُحضره أنت بوصفه عملية يعمل على جهازك أنت لا على أجهزتنا. والعناوين الصادرة تُفحص مقابل النطاقات الخاصة والاسترجاعية والمحلّية ونطاقات المشغّلين قبل أي طلب.

البنية التحتية

يعمل التطبيق في حاويات خلف حافة واحدة تُنهي TLS. وقاعدة البيانات والذاكرة المؤقتة وتخزين الكائنات خدمات مُدارة يُوصَل إليها عبر اتصالات مصادَقة ومشفّرة — وقاعدة البيانات بتحقّق كامل من الشهادة مقابل جذر مثبّت.

تخرج الإصدارات دون إيقاف الخدمة: تدخل حاوية جديدة إلى التوزيع قبل خروج القديمة، وكل إصدار يَسِم الصورة التي استبدلها، فالرجوع أمرٌ واحد. وتُطبَّق تغييرات المخطّط قبل إقلاع الشيفرة الجديدة، ويرفض التطبيق الإقلاع على مخطّط لا يتوقّعه بدل أن يشتغل على الخطأ.

الإعدادات وبيانات الاعتماد تأتي من البيئة ولا تدخل المستودع أبداً. ولن تجد في هذه الصفحة أسماء مضيفين ولا أسماء حاويات تخزين ولا منافذ ولا معرّفات عناقيد: الحديث عن نموذج الأمان مفيد، أما تسليم خريطة فلا.

السجلات والمراقبة

تُجمَع سجلات التطبيق والأخطاء، ومقاييس الطلبات، وسلامة الخدمات، كي يمكن تشغيل المنتج، مع تنبيه عند الأعطال. ولا تُكتب كلمات المرور ولا الرموز ولا المفاتيح في السجلات — ورمز الجلسة يسافر في ترويسة لا في عنوان تحديداً كي لا ينتهي هناك.

وتوخّياً للدقة في الحدود: لا يوجد مركز عمليات أمنية يعمل على مدار الساعة، ولا خدمة رصد مُدارة من طرف خارجي. المراقبة هنا تشغيلية. تخبرنا أن شيئاً تعطّل؛ وليست برنامج كشف اختراقات، وتسميتها كذلك ادّعاء لا يمكنك التحقّق منه.

حذف بياناتك

ثلاث عمليات منفصلة، كلها من حسابك لا بمراسلة الدعم: تصدير كل ما يرتبط بك في ملف، أو محو كل المحتوى مع بقاء الحساب واشتراكه، أو حذف الحساب بالكامل.

حذف الحساب يمحو محتواك وسجلات الخدمة، ويجعل صفّ الحساب نفسه مجهول الهوية. ولا يمكن إزالته تماماً: سجلات الدفع تشير إليه، وقانون المحاسبة يوجب حفظها خمس سنوات. وهذا هو الاستثناء الوحيد، وهو منصوص عليه في الموافقة التي تقبلها عند التسجيل. وقائمة الجداول التي يجب أن يفرغها الحذف سجلٌّ واحد في الشيفرة، ويسقط اختبار إن أُضيف جدول يشير إلى الحسابات دون إدراجه فيها: نسيان واحد يعني ترك بيانات شخصية بعد طلب حذف.

تُزال الكائنات المخزَّنة ضمن الطلب نفسه لا بمهمّة مجدولة. والنسخ الاحتياطية ونسخ التعافي خاصية للمنصّات المُدارة التي نستعملها، فقد يبقى سجلٌّ محذوف في لقطاتها ما دامت تلك اللقطات محفوظة؛ ولا نتحكّم بتلك النافذة ولن نخترع لها رقماً. ولطلبٍ بموجب اللائحة الأوروبية أو القانون الروسي 152-FZ راسل الدعم — نجيب خلال 30 يوماً.

الأمان مسار لا محطة

Whisperer منتج ينمو. لا نملك SOC 2 ولا ISO 27001 ولا أي شهادة مستقلة أخرى، ولم نكلّف أحداً باختبار اختراق خارجي، ولن نقدّم مراجعتنا الذاتية وكأنها كذلك. وقول هذا صراحةً جزء من النموذج: ادّعاء لا يمكنك التحقّق منه أقلّ قيمة من بنية تستطيع قراءتها.

بعض التدابير هنا موصوفة عمداً بأنها منقوصة. فسياسة أمان المحتوى منشورة في وضع الإبلاغ فقط ريثما تُضبَط، أي أنها تُبلغ عن المخالفات ولا تحجبها. والمصادقة بعاملين غير موجودة بعد. وحيثما قالت هذه الصفحة بالقدر الذي تدعمه المنصّة فالمقصود هو هذا بالضبط ولا شيء أكثر.

إلى أين نمضي

مع نمو Whisperer ندرس تدابير إضافية للأمان والامتثال. بلا تواريخ: تاريخٌ لا نستطيع الوفاء به سيكون ادّعاءً آخر لا يمكنك التحقّق منه.

• نقل سياسة أمان المحتوى من الإبلاغ إلى الحجب
• المصادقة بعاملين للحسابات
• مراجعة أمنية مستقلة واختبار اختراق
• سياسات أمنية رسمية وبرنامج امتثال

مستندات ذات صلة